Beberapa tahun lalu, Menteri Komunikasi dan Informatika kala itu, Rudiantara, menyampaikan bahwa Penyelenggara Sistem dan Transaksi Elektronik (PSTE) diperbolehkan memiliki data center di luar wilayah Indonesia. Ketentuan ini tercantum dalam Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE), khususnya Pasal 21 ayat 1, yang menyebutkan bahwa Penyelenggara Sistem Elektronik Lingkup Privat dapat melakukan pengelolaan, pemrosesan, dan/atau penyimpanan Sistem Elektronik dan Data Elektronik di wilayah Indonesia dan/atau di luar wilayah Indonesia.

Ini tentunya cukup melegakan bagi perusahaan pendatang baru atau perusahaan berbasis teknologi dalam transaksi elektroniknya, seperti perusahaan financial technology (fintech) dan startup. Bagi pengusaha fintech atau startup, kewajiban data center di Indonesia sebelumnya cukup memberatkan, mengingat kebanyakan dari mereka telah memulai bisnis menggunakan data center di luar Indonesia yang jauh lebih terjangkau harganya.

Penting: Aturan Sektoral OJK Justru Lebih Ketat bagi Fintech

Di sinilah letak nuansa yang wajib dipahami secara utuh, khususnya oleh pelaku fintech. Pasal 21 PP PSTE adalah aturan umum yang berlaku bagi Penyelenggara Sistem Elektronik Lingkup Privat secara keseluruhan. Namun, sebagai bagian dari sektor jasa keuangan, fintech tunduk pada aturan sektoral Otoritas Jasa Keuangan (OJK) yang secara spesifik justru mewajibkan sebaliknya, yaitu penempatan data center di dalam wilayah Indonesia.

Setidaknya ada dua ketentuan OJK yang relevan di sini. Pertama, Peraturan OJK Nomor 13/POJK.02/2018 tentang Inovasi Keuangan Digital di Sektor Jasa Keuangan, tepatnya Pasal 29, menyebutkan bahwa penyelenggara wajib menempatkan pusat data (data center) dan pusat pemulihan bencana (disaster recovery center) di wilayah Indonesia. Kedua, Peraturan OJK Nomor 4/POJK.05/2021 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Lembaga Jasa Keuangan Non-Bank (LJKNB), yang berlaku bagi seluruh jenis LJKNB termasuk fintech, secara eksplisit mewajibkan penempatan sistem elektronik pada pusat data dan/atau pusat pemulihan bencana di wilayah Indonesia, dengan kewajiban yang besarannya disesuaikan skala aset perusahaan.

Artinya, bagi fintech yang diawasi OJK, jawaban atas pertanyaan “apakah data center wajib di Indonesia atau tidak” bukanlah semata mengacu pada PP PSTE, melainkan pada aturan sektoral yang berlaku lebih spesifik dan mengikat bagi industri jasa keuangan. Pengusaha fintech yang hanya berpegang pada kelonggaran umum PP PSTE tanpa memeriksa kewajiban sektoral OJK berisiko keliru dalam menyusun strategi infrastruktur data mereka.

Pertanyaan yang Tetap Relevan: Bagaimana Jaminan Keamanan Datanya?

Terlepas dari perbedaan pengaturan ini, satu pertanyaan mendasar tetap layak diajukan. Kalau pun suatu penyelenggara sistem elektronik non-sektor keuangan memilih menempatkan data center-nya di luar wilayah Indonesia, bagaimana jaminan keamanan datanya? Apakah penyedia data center di luar Indonesia itu sudah pasti merupakan perusahaan berlisensi dan memiliki sertifikasi sistem manajemen keamanan informasi seperti SNI/IEC/ISO 27001? Kasus kebocoran data pengguna platform global besar yang pernah menghebohkan dunia menjadi pengingat bahwa lokasi data center semata bukan jaminan keamanan, jika tidak dibarengi standar dan sertifikasi keamanan yang memadai.

Kesimpulan

PP PSTE memang memberi kelonggaran bagi Penyelenggara Sistem Elektronik Lingkup Privat secara umum untuk menempatkan data center di luar Indonesia. Namun bagi fintech dan penyelenggara jasa keuangan lainnya, kelonggaran ini pada praktiknya tertutup oleh kewajiban sektoral OJK yang mengharuskan data center dan pusat pemulihan bencana berada di wilayah Indonesia. Sebelum menetapkan strategi infrastruktur data, pelaku fintech sebaiknya memastikan kepatuhannya bukan hanya terhadap aturan umum PSTE, tetapi juga terhadap ketentuan OJK yang secara khusus mengatur sektor jasa keuangan tempat mereka beroperasi. Harapannya, kombinasi regulasi ini benar-benar dapat menjamin keamanan data sekaligus mendukung program pemerintah dalam kemudahan berusaha di Indonesia, untuk menciptakan lebih banyak lapangan kerja baru dan mengundang investor asing masuk ke Indonesia.

Catherine L. Ary, M.H. Corporate Legal Secretary